内审流程、内审方法和技巧全解读

内审流程方法和技巧鉴证业务 Assurance Engagement外部审计的角色内审与外审的差异External Auditor Internal AuditorObjectives Express an opinion on thetruth and fairness of the FSin a written report Improve the company’s operations by reviewing the efficiency and effectiveness of internal controlsReporting To Shareholders To management/those charged withgovernanceAvailability ofreportPublic available Not publicly availableScope of work Verifying the truth andfairness of the FS Wide in scope and dependent on management’s requirementsAppointment and removal By Shareholders By the audit committee/board ofdirectorsRelationship withCo.Independent Normally employees内审的限制因素•Reporting system－向管理层汇报•Scope of work－审计范围由谁来决定•Recruitment of staff－内审团队由谁来招聘•Audit work－工作内容由谁来复核•Length of service of internal audit staff－长期服务的关系•Variation of standard－缺乏统一的标准产生的问题•管理层设计的内控和管理制度，内审检查后向管理层汇报，管理层愿不愿意听取意见，愿不愿意实施改进措施•审计范围由管理层来决定，不想让你检查的就不让检查•内审团队成员和内审部门主管由公司管理层来招聘，不听话的就干掉•工作内容由部门内部互相复核，走形式•长期服务的关系，讲情面，缺乏独立性•缺乏统一的标准，并且不局限于财务领域内审流程方法和技巧一．内审理论框架基础二．实施内审业务三．其他知识四．案例分享一内审理论框架基础1.内审的宗旨，权利和职责2.客观性和独立性3.风险导向制定内审计划4.内审在公司治理中的角色5.其他内审任务和职责6.计划审计业务•宗旨－对风险管理，控制和治理过程进行评价，提高组织效率，帮助实现组织目标•权利－是实现内审目标的保证•职责－内部审计部门和人员需要履行的责任•如何保证权力以实现目标－建立制度性文件✓内部审计章程✓职能与责任说明书✓内部审计政策说明书✓审计手册✓岗位职责描述内部审计章程•内容✓规定内审部门在组织中的地位✓授权内审部门接触与执行审计工作有关的记录，人员和实物资产✓明确内审活动的范围✓明确规定服务的性质•审批权✓董事会，审计委员会，相关治理机构和高级管理层批准或认可。

•作用✓最大程度的保证独立性✓评价内审工作质量和工作业绩的依据✓内审与管理层和其他部门就审计范围进行协调和消除分歧的依据•独立性－内审部门公正无偏地履行其职责，免受任何威胁其履职能力的情况影响。

（内审的生命，赖以生存的必要条件）•内审部门设置的考虑事项✓部门的设置是否经董事会，审计委员会等批准的内部审计章程中作出规定✓双重报告关系：首席审计执行官应该对审计委员会，董事会或其他相关治理机构报告业务工作，向CEO报告行政工作✓首席审计执行官能否直接且无限制地与董事会，审计委员会等接触和沟通✓首席审计执行官的任免应由董事会或审计委员会等治理机构一致同意后确定✓审计委员会的组成，不能主要由管理层人员来组成•客观性－公正的，不偏不倚的态度，避免利益冲突•内审的参照性政策✓尽量定期轮换✓内部审计师不应承担组织的运营责任。

并且，应该在至少一年后才能参加审计其负责的运营领域（对于借调或临时聘用人员）✓进行业务沟通之前审查内部审计工作结果（应由首席审计执行官或其他具备资格的人审查工作底稿和结果）✓不履行设计，安装和经营系统的职责，但可以在控制系统实施前进行审查和提出建议✓不接受员工，客户，供货商或者有工作关系的酬金或礼物，除非价值不大。

•其他需要注意事项✓具备必要的知识，技能和胜任能力✓保持应有的职业审慎态度✓进行后续教育✓由首席审计执行官建立和保持质量保证和改进程序－内部评估（由首席审计执行官挑选评估小组进行评估）与外部评估（聘请合格的独立的外部检查小组进行评估，至少每5年开展一次），制定《质量评估手册》，向董事会或其他治理机构报告结果COSO企业全面风险管理框架（ERM）•三个维度✓第一维是企业的目标✓第二维是全面风险管理要素✓第三维是企业的各个层级首席审计执行官须以风险为基础制定计划，考虑组织的风险管理框架，包括管理层针对不同业务或部门的风险偏好（Risk Appetite）•COSO风险管理框架1.内部环境－Control Environment－高层态度2.风险评估流程－Risk Assessment Process✓事件识别－Identify✓风险评估－Risk Assessment－Risk Map（impact and likelihood）－prioritization✓风险应对－TARA3.信息系统－Information Systems4.控制活动－Control Activities－Authorization, Review, Information processing, Physical controls, Segregation of Duties5.监督－Monitoring•应用该框架✓识别潜在的审计业务－审计领域1.考虑公司战略，了解管理层态度，工作方针和工作重心（分析－PESTEL，SWOT；访谈；问卷）2.管理层的特殊要求3.法律法规要求的变化4.内部制度或其他变化✓评估组织风险：识别－度量－排序✓根据风险排序，确定审计先后次序•识别内审资源需求－为了审计工作有效完成✓内审人员的配置计划（内审人员的技能和知识要与审计业务相匹配，必要的后续教育和培训计划）✓财务预算（应根据审计工作日程表和活动，人力发展需求，人员的教育与培训相匹配）✓时间管理（根据项目，人员素质，管理层需求设定合理的起止时间）•选择审计业务－与董事会沟通并获得其对审计业务计划的批准•风险评估过程应当每年进行，审计业务计划的变更应得到审批，以保证及时更新4.内审在公司治理中的角色•报告重大审计事项－及时告知高级管理层和董事会•评估业绩考核体系的充分性和有效性，并定期向董事会报告KPI指标•与管理层讨论重大风险领域－管理层接受的风险水平与机构的风险管理战略是否一致；管理层对重大风险采取的措施是否恰当；如果管理层决定对风险不采取纠正措施并承担后果，应及时向董事会报告这些情况•协助董事会开展全面风险评估•监督遵守公司行为规范和商业惯例的情况－保密，公平交易，恰当使用组织资产，礼品及酬金，违法和不道德行为等•报告控制框架的有效性•协助董事会评估外审的独立性•评估董事会和公司的道德氛围•评估在特定领域的政策遵循情况•跟踪并报告管理层对监管机构和外审检查结果的落实情况•树立舞弊防范意识，鼓励报告不正当的行为5.其他内审任务和职责•道德规范／合规情况✓对道德合规情况的投诉进行调查并提出解决办法，确定违反道德规范的处理，培养健康的道德气氛•风险管理✓建立和实施风险和控制框架；进行风险评估，并向董事会报告风险评估结果；对灾难准备情况作出评价，并对灾后重建恢复的有效性进行监督•隐私✓评估组织的隐私保护制度和保证合规•信息或物理安全✓确定安全薄弱环节（自然灾害，信息系统崩溃，恐怖行为，盗窃和故意破坏）；确定违反安全规定行为的处理；并报告合规情况6.计划审计业务•开展与审计业务客户的初步沟通－正式会议沟通✓审计目标和审计范围✓审计工作计划和审计方式✓要求客户报送财务资料，内控制度，有关政策等文件资料•对审计业务范围实施初步调查－确定重点审计领域并熟悉组织活动和风险（从被审计单位获得信息－了解经营目标，政策，重点关注事项，组织信息等）✓进行分析性复核 Analytical review－财务比率，趋势和合理性测试与预算，预测等进行比较✓进行基准比较法 Benchmarking－寻找最佳对象，并比较，找寻差距✓实施面谈 Interview－4 C 法则：清晰 Clear（使用对方能听得懂的术语），简洁 Concise（简短，突出重点），完整 Complete（包含所有相关信息），正确 Correct（保证与对方沟通时数据正确）✓查阅以前的审计报告和其他相关资料✓绘制流程图－Flow Chart，Organization Chart，内控调查问卷✓编制检查清单•完成相关领域的详细风险评估－除了关注组织的风险管理，还要关注审计风险✓审计风险＝IR＊CR＊DR－发表不恰当的审计意见✓风险控制矩阵1.识别经营目标－审计小组与管理层共同确认2.识别经营目标的相关风险－向管理层询问达成目标的障碍3.按照可能性和重要性度量风险4.识别控制活动－TARA5.评价控制是否充分6.测试内部控制的有效性7.对控制的充分性和有效性作出最终意见•与外审和监管机构协调审计工作－经济性，效率，有效性•建立并完善审计业务的目标，确定审计范围✓审计类型：营销部门✓经营目标：提升产品在中国市场的认可度✓审计业务目标：识别和评价提升产品在中国市场的认可度的合适控制手段•识别审计所依照的标准－例如：（合适，且双方都认可）✓经营成果信息－盈利性✓行业最优✓内控制度✓政策和程序✓法律法规•考虑舞弊的可能性－注意风险因素和危险信号✓风险因素－控制弱点：缺乏审批，越权管理等✓危险信号－个人原因（严重的病情，赌博等），公司原因（财务困难，过度的债务等）✓可能助长舞弊的因素：无效的内控，员工的勾结，流动资产的存在•确定审计业务程序－相关（应收的价值认定－询证函）✓步骤：收集审计资料－分析和评价资料－记录信息－对审计业务的监督•确定审计所需人员水平和资源✓数量和经验；技能和胜任能力；外部资源的考虑；对内部人员的培训•建立对审计业务计划和监督－保证完成和审计质量✓督导过程贯穿业务活动始终，所有底稿都有进行复核，监督复核都要形成记录记入底稿•编制审计业务工作底稿✓记录信息，以支持结论；为编制报告提供依据；便于第三者审查等一内审理论框架基础1.内审的宗旨，权利和职责2.客观性和独立性3.风险导向制定内审计划4.内审在公司治理中的角色5.其他内审任务和职责6.计划审计业务二实施内审业务1.实施业务2.监督业务结果3.舞弊知识要点4.业务公具•内部审计的四个步骤－收集和评价证据是核心工作✓计划业务－确认，分析，评估记录证据－沟通业务结果－监督整个审计业务过程•证据的采集✓控制测试（符合性测试）－证明控制是否运行有效✓实质性测试－详细测试：对各类账户余额，交易具体细节进行测试；实质性分析程序：研究数据间关系来评估证据✓多种证据间要相互印证，注意抽样风险，和重要性水平•评估证据的标准－风险决定证据的数量和质量✓充分的Sufficient－证据符合事实，具备说服力，可以使审慎的，具备相关知识的人员得出相同的结论✓可靠的Reliable－恰当的技术可以获得的最佳证据－外部大于内部，内控好的大于内控差的，文件大于口头，原件大于复印件✓相关的Relevant－证据能够支持发现和建议✓有用的Useful－能够帮助组织实现其目标•编制工作底稿✓内容：计划过程－风险评估－对内控系统健全性和有效性的检查和评价－执行的审计程序，取得的资料和得出的结论－复核－报告－跟踪程序✓要求：整齐，统一，容易理解，相关，经济，完整，书写简单明了，逻辑有序•沟通中期进展情况－中期报告（可以是书面的，也可以口头的）✓需要编制中期报告的情况：审计业务工作需要延长；审计业务中发现了需要马上引起注意的重要问题；管理当局迫切需要了解情况；审计业务范围发生变化•编制建议书✓建议不是命令，内审不承担管理职能，否则会威胁客观性✓不应该提出唯一的行动建议，管理人员视野要比审计师的视野广✓与管理人员共同讨论建议是个不错的办法，并且共同探讨采取的纠正措施，不仅可以改善双方关系，而且有助于建议和措施的实施•报告业务结果✓召开退出会议的目的：与客户讨论审计发现，结论和建议；允许客户澄清特定事项；取得一致的解决意见；取得管理层对报告的反馈意见✓编制业务报告的质量要求：准确，客观，清晰，简洁，富有建设性，完整，及时✓内容：业务目标，范围说明，业务结果（发现，结论，建议和行动）✓发现和建议应包括下列内容：标准（正确的情况），实际情况，差异原因，后果✓注意：可以包括对出色业绩的肯定，以及达成一致的纠正措施•重要性：在业务完成后，审计报告中涉及的发现和提出的建议对组织的经营非常重要，需要管理层马上采取纠正措施，所以内审部门应该对建议的执行情况进行监督，以保证实现业务目标，提高经营活动的效率和效果•责任：首席审计执行官负责建立后续追踪程序，监督业务结果，确保管理层采取有效的措施，或高级管理层已接受不采取行动的风险。